Хакер #305. Многошаговые SQL-инъекции
Критическая уязвимость в системе IBM Maximo Asset Management могла упростить злоумышленникам проникновение во внутреннюю сеть крупных компаний. Данная система класса CMMS используется для управления техническим обслуживанием и ремонтом производственных активов в крупнейших фармацевтических, нефтегазовых, автомобилестроительных, аэрокосмических, железнодорожных компаниях, в аэропортах, на атомных электростанциях и в других сферах.
Проблему, которая получила идентификатор CVE-2020-4529, обнаружили Арсений Шароглазов и Андрей Медов. Уязвимость была найдена в версиях 7.6.0 и 7.6.1 IBM Maximo Asset Management, и связана с возможностью подделки запросов со стороны сервера (SSRF). Она имеет высокий уровень опасности (7,3 балла по шкале оценки уязвимостей CVSS) и может позволить аутентифицированному злоумышленнику с низкими привилегиями отправить нелегитимный запрос из системы для сканирования сети или для развития других атак.
Уязвимость затрагивает также специализированные отраслевые решения Maximo for Aviation, Maximo for Life Sciences, Maximo for Nuclear Power, Maximo for Oil and Gas, Maximo for Transportation, Maximo for Utilities, а также продукты SmartCloud Control Desk, IBM Control Desk и Tivoli Integration Composer.
«IBM Maximo Asset Management используется на больших системообразующих предприятиях, и уязвимости в ней могут привлечь APT-группировки, которые хотят получить доступ во внутреннюю сеть, — рассказывает Арсений Шароглазов. — Атакующим с низкими привилегиями может быть, например, кладовщик, который удаленно подключается к системе и заносит позиции в базу; или источником угрозы может выступать его рабочая станция, зараженная вирусом.
Веб-интерфейсы IBM Maximo, как правило, доступны со всех складов компании, а склады могут быть размещены в разных регионах и даже в разных странах. Если условный кладовщик подключается через правильно настроенную VPN, его доступ внутри корпоративной сети ограничен, например, этой системой и почтой. Обнаруженная нами уязвимость позволяет преодолеть это ограничение и обратиться к другим системам, где можно попробовать получить, например, возможность удаленного выполнения кода, а при развитии атаки — доступ ко всем системам, чертежам, бухгалтерским документам, к сети АСУ ТП. Иногда сотрудники могут подключаться к IBM Maximo и напрямую из интернета, без VPN, используя простые пароли, что упрощает атаку».
Для устранения уязвимости необходимо обновить IBM Maximo Asset Management, а также связанные с этой системой решения и продукты, до последних версий.
